Reguła 3-2-1 to schemat tworzenia kopii zapasowych, który według CISA zakłada trzy kopie danych na dwóch nośnikach i jedną poza siedzibą. Artykuł wyjaśnia, jak działa ta zasada w praktyce, dlaczego sam backup nie wystarczy oraz jakie wymogi stawiają podmiotom finansowym przepisy DORA.
Według amerykańskiej Cybersecurity and Infrastructure Security Agency reguła 3-2-1 polega na utrzymywaniu trzech kopii ważnych plików na dwóch różnych typach nośników pamięci. Jedna z kopii musi być przechowywana poza główną siedzibą. Ta sama zasada została powtórzona w dokumentacji CISA skierowanej do samorządów lokalnych i instytucji publicznych. Celem jest zapewnienie dostępności danych nawet wtedy, gdy lokalna infrastruktura ulegnie fizycznemu uszkodzeniu lub cyberataku.
Już w 2020 roku CISA w ramach Cyber Essentials Toolkit rekomendowała wdrożenie regularnych, zautomatyzowanych kopii zapasowych oraz redundancji kluczowych systemów. Automatyzacja ogranicza ryzyko ludzkiego błędu i zapewnia ciągłość procesu bez względu na obłożenie zespołu.
Drugi nośnik w regule 3-2-1 pełni rolę ubezpieczenia na wypadek awarii pierwszego. Jeśli obie kopie znajdują się na identycznych dyskach w tej samej lokalizacji, wspólna przyczyna uszkodzenia może zniszczyć je jednocześnie. Według dokumentacji Veeam druga kopia zapasowa może trafić do tańszych klas przechowywania w chmurze obiektowej, takich jak archiwalna warstwa Azure Blob Storage, Amazon S3 Glacier lub Amazon S3 Glacier Deep Archive. Takie rozwiązanie obniża koszty przy zachowaniu zgodności z wymogiem dwóch różnych mediów.
Osobny nośnik to fizycznie lub logicznie odseparowane medium, które nie dzieli punktu uszkodzenia z pierwszą kopią. Dzięki temu błąd sprzętowy czy lokalna infekcja nie przechodzą automatycznie na drugi egzemplarz.
Kopia przechowywana poza główną siedzibą to element, który oddziela backup od zdarzeń wpływających na centralną infrastrukturę. Pożar, powódź lub atak ransomware dotykający sieci lokalnej nie powinien mieć dostępu do nośnika znajdującego się w innym miejscu. Według Veeam w rozszerzonej wersji reguły offsite to jedna z kilku warstw ochronnych, a nie jedyna linia obrony.
Oddzielenie geograficzne oznacza, że nawet całkowita utrata dostępu do budynku firmowego nie blokuje możliwości odzyskania danych. W praktyce realizuje się je przez przechowywanie kopii w innej lokalizacji fizycznej lub w chmurze publicznej zarządzanej przez zewnętrznego operatora.
Veeam rozwinął klasyczną regułę do formatu 3-2-1-1-0, dodając dwa kolejne wymogi. Pierwszy z nich to jedna kopia niemodyfikowalna, offline lub odizolowana. Drugi to zero błędów potwierdzanych regularnymi testami odzyskiwania danych. Według dokumentacji producenta w tej wersji wśród nośników wymienia się również storage obiektowy.
Pięć elementów składa się na pełny obraz. Trzy kopie danych gwarantują, że uszkodzenie jednej pozostawia jeszcze dwie do wykorzystania. Dwa różne nośniki eliminują wspólny punkt awarii. Jedna kopia offsite chroni przed katastrofami lokalnymi. Jedna kopia niemodyfikowalna zabezpiecza przed szyfrowaniem lub usunięciem przez atakującego. Zero błędów oznacza, że każda kopia przechodzi regularne weryfikacje pod kątem możliwości przywrócenia.
Sam fakt posiadania kopii nie gwarantuje jeszcze możliwości ich przywrócenia. Veeam wskazuje, że każda kopia musi być odzyskiwalna, kompletna i nieuszkodzona. Testy odzyskiwania są kluczowe dla realnej ochrony przed katastrofami i ransomware.
National Institute of Standards and Technology traktuje kopię i odtwarzanie, replikację i mirroring, kopie punktu w czasie oraz ciągłą ochronę danych jako osobne mechanizmy ochrony. W publikacji SP 800-209 instytucja wymienia kompromitację kopii zapasowych jako odrębne zagrożenie dla infrastruktury pamięci masowej, obok uszkodzenia i nieuprawnionej zmiany danych.
Opracowane przez NCCoE NIST SP 1800-11, wydane 22 września 2020 roku i aktualizowane 3 lutego 2025 roku, koncentruje się na metodach skutecznego odzyskiwania danych po zdarzeniach korumpujących dane, w tym atakach ransomware. To pokazuje, że kopia zapasowa to nie tylko archiwum, ale aktywny element strategii przetrwania incydentu.
Mogę Ci jakoś pomóc?
Ministerstwo Cyfryzacji w procedurze reagowania na incydent zaleca, aby przywracać dane z kopii zapasowej wyłącznie wtedy, gdy istnieje pewność, że kopia jest wolna od złośliwego oprogramowania i ransomware. To ograniczenie pokazuje, że sama obecność backupu nie oznacza jeszcze bezpiecznego powrotu do pracy. Warto sprawdzić integralność kopii zanim krytyczne systemy zaczną z niej korzystać.
Unijne rozporządzenie DORA, przyjęte 14 grudnia 2022 roku, wymaga od podmiotów finansowych opracowania i udokumentowania polityk tworzenia kopii oraz metod przywracania i odzyskiwania danych. Odtworzenie systemów ma odbywać się przy minimalnej przerwie i ograniczonych stratach. Uruchomienie systemów kopii zapasowych nie może zagrażać bezpieczeństwu sieci ani dostępności, autentyczności, integralności i poufności danych.
DORA wiąże zakładany czas przywrócenia systemów i akceptowalny poziom utraty danych z krytycznością lub istotnością danej funkcji. Funkcje kluczowe muszą wracać do działania szybciej i z mniejszymi stratami niż systemy wspierające. Przepisy nakazują też okresowe testowanie procedur tworzenia kopii oraz procedur i metod przywracania.
Podmioty inne niż mikroprzedsiębiorstwa muszą uwzględniać w planach testowanie scenariuszy cyberataku oraz przełączanie z głównej infrastruktury na kopie zapasowe i urządzenia redundantne. To oznacza, że backup nie jest tylko polisą na papierze, ale elementem żywej architektury odpornościowej.
Jednym ze sposobów zabezpieczenia kopii przed usunięciem lub modyfikacją jest mechanizm Object Lock w usłudze Amazon S3. Według dokumentacji AWS w trybie compliance ochrony nie może usunąć żaden użytkownik, w tym konto root. W trybie governance blokadę mogą zdjąć wyłącznie konta z określonymi uprawnieniami IAM.
Niezmienność działa razem z wersjonowaniem obiektów i jest utrzymywana niezależnie od klasy pamięci oraz przy przejściach cyklu życia między klasami. Oznacza to, że nawet przy przenoszeniu danych do tańszych warstw archiwalnych ochrona przed nadpisaniem pozostaje aktywna. Dla organizacji stosujących regułę 3-2-1 lub jej rozszerzoną wersję jest to sposób na spełnienie wymogu niemodyfikowalnej kopii bez zakupu dodatkowego sprzętu.
Dla wielu organizacji klasyczna reguła 3-2-1 stanowi solidną podstawę. Jej rozszerzenie o niemodyfikowalną kopię i regularne testy odzyskiwania znacząco podnosi odporność na ransomware. Przepisy takie jak DORA pokazują, że prawo wymaga nie tylko posiadania kopii, ale też udokumentowanych procedur, testów i świadomości, które funkcje są krytyczne.
Przed pierwszym przywróceniem po incydencie warto zweryfikować, czy backup rzeczywiście działa i czy nie przeniesie z powrotem zainfekowanych plików. Dopiero połączenie trzech kopii, dwóch nośników, jednej lokalizacji offsite, niemodyfikowalnego egzemplarza i sprawdzonych testów odzyskiwania tworzy architekturę, w której dane można przywrócić z pewnością.
Ostatnia aktualizacja: 18 sierpnia 2026
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Podatność CVE-2025-68613 w platformie n8n pozwala osobie ze zwykłym kontem wykonać dowolny kod i przejąć całą instancję. Jest aktywnie wykorzystywana, a poprawka już istnieje. Z tekstu dowiesz się, które wersje są zagrożone i jakie działania podjąć od zaraz.
Czytaj artykułPodatność CVE-2026-9198 w Langflow OSS pozwala niezalogowanemu napastnikowi uruchomić własny kod na serwerze. CISA wpisała ją do katalogu aktywnie wykorzystywanych luk, a IBM nie podaje żadnego obejścia. Tekst wyjaśnia mechanizm ataku, zagrożone wersje i jedyną potwierdzoną naprawę.
Czytaj artykułCVE-2026-3055 to podatność urządzeń Citrix NetScaler ADC i Gateway, wykorzystywana w atakach od dnia publikacji. Tekst wyjaśnia mechanizm błędu, warunek zagrożenia, różnice w danych o wersjach naprawionych oraz działania, które należy podjąć w trybie pilnym.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.